גורם תקיפה · G0016

APT29

משויך במקורות לרוסיה. מטרות הפעילות המדווחות: ריגול.

🇷🇺 רוסיה

על גורם התקיפה

A 2015 report by F-Secure describe APT29 as: 'The Dukes are a well-resourced, highly dedicated and organized cyberespionage group that we believe has been working for the Russian Federation since at least 2008 to collect intelligence in support of foreign and security policy decision-making. The Dukes show unusual confidence in their ability to continue successfully compromising their targets, as well as in their ability to operate with impunity. The Dukes primarily target Western governments and related organizations, such as government ministries and agencies, political think tanks, and governmental subcontractors. Their targets have also included the governments of members of the Commonwealth of Independent States;Asian, African, and Middle Eastern governments;organizations associated with Chechen extremism;and Russian speakers engaged in the illicit trade of controlled substances and drugs. The Dukes are known to employ a vast arsenal of malware toolsets, which we identify as MiniDuke, CosmicDuke, OnionDuke, CozyDuke, CloudDuke, SeaDuke, HammerDuke, PinchDuke, and GeminiDuke. In recent years, the Dukes have engaged in apparently biannual large - scale spear - phishing campaigns against hundreds or even thousands of recipients associated with governmental institutions and affiliated organizations. These campaigns utilize a smash - and - grab approach involving a fast but noisy breakin followed by the rapid collection and exfiltration of as much data as possible.If the compromised target is discovered to be of value, the Dukes will quickly switch the toolset used and move to using stealthier tactics focused on persistent compromise and long - term intelligence gathering. This threat actor targets government ministries and agencies in the West, Central Asia, East Africa, and the Middle East; Chechen extremist groups; Russian organized crime; and think tanks. It is suspected to be behind the 2015 compromise of unclassified networks at the White House, Department of State, Pentagon, and the Joint Chiefs of Staff. The threat actor includes all of the Dukes tool sets, including MiniDuke, CosmicDuke, OnionDuke, CozyDuke, SeaDuke, CloudDuke (aka MiniDionis), and HammerDuke (aka Hammertoss). '

תיאור המקור מוצג בשפתו, לצד התקציר בעברית. שיוך מדינתי אינו מעיד בהכרח על מיקום המפעילים או על חסות ממשלתית.

מטרות לפי המקור: Espionage

סקטורים שדווחו: Think Tanks · Government, Administration · Government · Private sector

מידע נוסף מהמקורות

MITRE ATT&CK

APT29 is threat group that has been attributed to Russia's Foreign Intelligence Service (SVR). They have operated since at least 2008, often targeting government networks in Europe and NATO member countries, research institutes, and think tanks. APT29 reportedly compromised the Democratic National Committee starting in the summer of 2015. In April 2021, the US and UK governments attributed the SolarWinds Compromise to the SVR; public statements included citations to APT29, Cozy Bear, and The Dukes. Industry reporting also referred to the actors involved in this campaign as UNC2452, NOBELIUM, StellarParticle, Dark Halo, and SolarStorm.

Microsoft Threat Intelligence

Microsoft עוקבת אחר פעילות זו בשם Midnight Blizzard. השיוך המדינתי ברשימה: רוסיה. כינויים וקבוצות פעילות מקבילות שמופיעים במיפוי: NOBELIUM · COZY BEAR · UNC2452 · APT29. זהו מיפוי של הספק ואינו קובע שכל הכינויים מתארים פעילות זהה.

כלים ונוזקות שדווחו

שימוש שדווח ב־MITRE ATT&CK, כולל כלים לגיטימיים שנוצלו בתקיפות. כלי משותף אינו מעיד על זהות או קשר בין קבוצות.

שיטות פעולה לפי MITRE ATT&CK (66)

טכניקות שדווחו במקור. קישור מוביל להסבר השיטה ב־ATT&CK.

Security Account ManagerT1003.002 LSA SecretsT1003.004 Data from Local SystemT1005 Internet Connection DiscoveryT1016.001 Cloud ServicesT1021.007 Binary PaddingT1027.001 Software PackingT1027.002 HTML SmugglingT1027.006 Match Legitimate Resource Name or LocationT1036.005 Boot or Logon Initialization ScriptsT1037 RC ScriptsT1037.004 Windows Management InstrumentationT1047 Scheduled TaskT1053.005 PowerShellT1059.001 PythonT1059.006 Cloud APIT1059.009 Exploitation for Privilege EscalationT1068 File DeletionT1070.004 TimestompT1070.006 Valid AccountsT1078 Local AccountsT1078.003 Cloud AccountsT1078.004 Cloud AccountT1087.004 External ProxyT1090.002 Multi-hop ProxyT1090.003 Domain FrontingT1090.004 Additional Email Delegate PermissionsT1098.002 Device RegistrationT1098.005 Ingress Tool TransferT1105 Password GuessingT1110.001 Password SprayingT1110.003 Remote Email CollectionT1114.002 External Remote ServicesT1133 Cloud AccountT1136.003 Exploit Public-Facing ApplicationT1190 Trusted RelationshipT1199 Exploitation for Client ExecutionT1203 Malicious LinkT1204.001 Malicious FileT1204.002 MshtaT1218.005 Web ShellT1505.003 Steal Application Access TokenT1528 Windows Management Instrumentation Event SubscriptionT1546.003 Accessibility FeaturesT1546.008 Registry Run Keys / Startup FolderT1547.001 Bypass User Account ControlT1548.002 Pass the TicketT1550.003 Mark-of-the-Web BypassT1553.005 Hybrid IdentityT1556.007 Spearphishing AttachmentT1566.001 Spearphishing LinkT1566.002 Spearphishing via ServiceT1566.003 Dynamic ResolutionT1568 Encrypted ChannelT1573 Web ServicesT1583.006 Email AccountsT1586.002 Cloud AccountsT1586.003 MalwareT1587.001 Digital CertificatesT1587.003 ToolT1588.002 Vulnerability ScanningT1595.002 Multi-Factor Authentication Request GenerationT1621 Steal or Forge Authentication CertificatesT1649 Cloud Administration CommandT1651 Hide InfrastructureT1665 Disable or Modify Cloud LogT1685.002

מקורות ומחקרים

הפניות מהפרופילים ומפרסומי מחקר. ברשומות ללא כותרת מקורית, שם הקישור נגזר מכתובת הפרסום. תאריך מוצג רק כשזמין.

קשרים שדווחו

קשר, דמיון או חפיפה אינם בהכרח זהות בין הקבוצות. לא נוצרים קשרים רק בגלל כלי משותף או מדינה משותפת.

UNC2452דמיון שדווח במקורמקור: MISP Galaxy

UNC2452שמות פעילות מקושרים לפי מיפוי הספקמקור: Microsoft

על גורם התקיפה

תיאור המקור מוצג בשפתו, לצד התקציר בעברית. שיוך מדינתי אינו מעיד בהכרח על מיקום המפעילים או על חסות ממשלתית.

מטרות לפי המקור: Espionage

סקטורים שדווחו: Think Tanks · Government, Administration · Government · Private sector

מידע נוסף מהמקורות

MITRE ATT&CK

Microsoft Threat Intelligence

→ לכל התוקפים והקבוצות

גורם תקיפה · G0016

APT29

משויך במקורות לרוסיה. מטרות הפעילות המדווחות: ריגול.

🇷🇺 רוסיה

30 מקורות ומחקרים 2 קשרים מדווחים

על גורם התקיפה

תיאור המקור מוצג בשפתו, לצד התקציר בעברית. שיוך מדינתי אינו מעיד בהכרח על מיקום המפעילים או על חסות ממשלתית.

מטרות לפי המקור: Espionage

סקטורים שדווחו: Think Tanks · Government, Administration · Government · Private sector

מידע נוסף מהמקורות

MITRE ATT&CK

Microsoft Threat Intelligence

כלים ונוזקות שדווחו

שימוש שדווח ב־MITRE ATT&CK, כולל כלים לגיטימיים שנוצלו בתקיפות. כלי משותף אינו מעיד על זהות או קשר בין קבוצות.

שיטות פעולה לפי MITRE ATT&CK (66)

טכניקות שדווחו במקור. קישור מוביל להסבר השיטה ב־ATT&CK.

מקורות ומחקרים

קשרים שדווחו

קשר, דמיון או חפיפה אינם בהכרח זהות בין הקבוצות. לא נוצרים קשרים רק בגלל כלי משותף או מדינה משותפת.

UNC2452דמיון שדווח במקורמקור: MISP Galaxy

UNC2452שמות פעילות מקושרים לפי מיפוי הספקמקור: Microsoft

APT29

על גורם התקיפה

מידע נוסף מהמקורות

כלים ונוזקות שדווחו

מקורות ומחקרים

the dukes 7 years of russian cyber espionage

rpt apt29 hammertoss

dissecting one ofap

analysis of cyberattack on u s think tanks non profits public sector by unidentified attackers

iron hemlock

מחקר / פרסום של MITRE ATT&CK

cloaked ursa

cta 2023 0127

updated cyber threat actor naming system

noblebaron new poisoned installers could be used in supply chain attacks

microsoft threat actor naming

new nobelium activity

קשרים שדווחו

APT29

על גורם התקיפה

מידע נוסף מהמקורות

כלים ונוזקות שדווחו

מקורות ומחקרים

the dukes 7 years of russian cyber espionage

rpt apt29 hammertoss

dissecting one ofap

analysis of cyberattack on u s think tanks non profits public sector by unidentified attackers

iron hemlock

מחקר / פרסום של MITRE ATT&CK

cloaked ursa

cta 2023 0127

updated cyber threat actor naming system

noblebaron new poisoned installers could be used in supply chain attacks

microsoft threat actor naming

new nobelium activity

קשרים שדווחו

APT29

על גורם התקיפה

מידע נוסף מהמקורות

כלים ונוזקות שדווחו

מקורות ומחקרים

the dukes 7 years of russian cyber espionage

rpt apt29 hammertoss

dissecting one ofap

analysis of cyberattack on u s think tanks non profits public sector by unidentified attackers

iron hemlock

מחקר / פרסום של MITRE ATT&CK

cloaked ursa

cta 2023 0127

updated cyber threat actor naming system

noblebaron new poisoned installers could be used in supply chain attacks

microsoft threat actor naming

new nobelium activity

קשרים שדווחו